セキュリティ脆弱性に関するよくある質問

To report a product security vulnerability, please register and create an account at community.silabs.com and click on the "Vulnerability Disclosure" tab on the top right hand corner to select the "Vulnerability Report Submission" option in the drop down menu.

企業資産のセキュリティ脆弱性を報告するには、 community.silabs.com で登録してアカウントを作成し、右上の「Vulnerability Disclosure」タブをクリックして、ドロップダウンメニューから「Vulnerability Report Submission」を選択してください。

以下を提供してください。 

• 脆弱性の明確な説明
• 影響を受けた製品とバージョン
• 問題を再現するためのステップ。
• 潜在的な影響（データ侵害、システム侵害など）。
• 概念実証コードまたはスクリーンショット（該当する場合）
• フォローアップのための連絡先情報
• 帰属情報（帰属を希望する場合
• For coding vulnerabilities, please point to the exact location of the vulnerable files.

これにより、当社のPSIRTは問題を迅速に評価し、対処することができます。

Since registration involves an email address, and requires communication to address an issue, anonymity is likely going to be based on the information you provide at registration. In addition, the eligibility for our Bug Bounty Program will require some level of self-identification to be provided with directions on rewards. 

The vulnerability is assessed based on several factors, which determine its priority.  The approach to resolving the issue then follow and an advisory or disclosure is made for the vulnerability and fix, if applicable. 

開示： 当社は、登録ユーザーに脆弱性を通知するセキュリティアドバイザリを発行します。セキュリティアドバイザリ通知のサインアップ方法については、ここをクリックしてください。

はい。当社は、連携した脆弱性開示の原則に従います。当社では、報告者と協力して、公開前に脆弱性を検証して修正を行い、顧客へのリスクを最小限に抑えます。当社では、利用可能な修正とともにセキュリティアドバイザリを公開することを目指しています。場合によっては、修正がリリースされないことがあります。

Researchers are welcome to reference the public security advisory and published CVEs in their communications or publications.

You can view previously published security advisories in our GitHub page.

You can sign up for email notifications when a new Security Advisory is published by Watching the security advisory GitHub repo. Note that a GitHub account is needed to watch GitHub repos. You will receive notifications whenever a new advisory is published. The filterable dashboard linked in the repo description can be used to determine if any of the advisories are relevant to your product(s).

はい。Bug Bounty Programは、脆弱性の深刻度と影響に基づいて、対象となる提出に報酬を払います。See our Vulnerability Disclosure Program (VDP) FAQ for eligibility, scope, and reward details. 

Qualifying vulnerabilities include those affecting our semiconductor products, firmware, or related software. 当社が報酬を支払った一般的な脆弱性には、いかに関連するものがあります。

• メモリ破損
• 暗号上の欠陥
• バッファ・オーバーフロー

Vulnerabilities discovered in our enterprise assets do not qualify for the bug bounty and are only part of the Vulnerability Disclosure Program. See our security vulnerability disclosure policy for more details.

Once you register as a researcher at community.silabs.com, and meet the requirements listed in the security vulnerability disclosure policy, you should be able to participate in the bug bounty program. 

We only pay for confirmed vulnerabilities, that had not already been reported. Payments depend on the priority that Silicon Labs assigns to the vulnerability after internal review.  The pricing of the bounty by priority is available in the Vulnerability Disclosure Program (VDP) FAQ.

To report an enterprise asset security vulnerability, please register as a researcher at community.silabs.com and from there you will be able to submit vulnerability reports.

当社の製品セキュリティインシデント対応チーム（PSIRT）は、当社製品のセキュリティ脆弱性の特定、評価、および解決を管理します。当社は、適時の修正と透明性のあるコミュニケーションを確保するために、研究者、顧客、パートナーと連携します。

当社は、業界標準と内部評価を組み合わせて修正の優先付けを行います。We utilize the Common Vulnerability Scoring System (CVSS) 4.0, as well as other internal criteria, which enables us to assess the severity of each issue. 重大な脆弱性は最優先され、90日以内に開示して解決することを目指しています。

はい、当社はCNA（CVE Numbering Authority）です。これにより、適切な場合には確認された脆弱性にCVEを割り当てることができ、セキュリティ問題の公開を円滑に行えます。当社は、各セキュリティアドバイザリに関連するCVE番号を記載します。

当社は、データのプライバシーを真剣に受け止めています。報告は機密扱いされ、安全に保管され、解決に関与するチームメンバーのみと共有されます。